node.js express.cookieSession 是否足够安全以保存敏感数据？

Question

我对会话有很好的基本了解。

有 2 个选项可以通过 express 和 node.js 使用会话。

1. express.session
2. express.cookieSession

第一种我很熟悉，但我对第二种方法有一些疑问。

使用 cookieSession 会将所有实际数据存储在客户端 cookie 上。 这意味着敏感数据将保存在客户端。

这似乎非常非常糟糕。这不是意味着某些恶意软件可以检索这些数据吗？

还有一个问题：

我试图用express.cookieSession 替换我的express.session，一切正常，我可以在客户端看到数据，但似乎每次我删除 cookie 并重新进入服务器时，我都会得到相同的会话令牌。这怎么可能？

除了将express.session 更改为之外，我还应该做些什么，比如说：

app.use(express.cookieSession({ secret: 'keyboard cat' }));

为什么每次客户端获得新会话时我都会获得相同的令牌？

Answer 1

关于安全性的问题 1：一个站点无法访问另一个站点的 cookie，但是将敏感数据放在客户端上肯定存在风险。不推荐。在此处阅读答案以获得基本概要：How to store cookies containing sensitive data securely in PHP?

关于相同令牌的问题 2，请参阅我对您问题的评论。